이름 다른 두 프로세스, 같은 해시로 연결된 자동 시작 경로

샌드박스에서 conhost.exe가 svchost.exe를 자식 프로세스로 실행했다. 두 이름은 서로 다른 프로그램처럼 보이지만, 프로세스 생성 이벤트에 기록된 파일 해시는 같았다. 하나는 Windows 오류 보고 경로 아래의 임시 폴더에, 다른 하나는 사용자 AppData 폴더에 있었다. 이름과 위치가 바뀌었을 뿐 같은 실행 파일 내용이 두 프로세스에 쓰인 것이다. 이 관계는 단순한 시스템 프로세스 이름 위장인지, 다른 위치에서 실행을 이어가기 위한 구조인지를 묻게 한다. CTX Threat Intelligence가 검토한 자료는 후자의 해석을 뒷받침한다. 상위 실행 파일이 임시 폴더에 구성 요소를 생성했고, 그 구성 요소 아래에서 같은 해시의 AppData 실행 파일이 실행됐다. 같은 샌드박스 보고서에는 AppData 경로를 가리키는 사용자 Run 값도 남았다. 핵심은 의심스러운 파일명이 여러 개 발견됐다는 사실이 아니다.